如何理解npm >=7新特性及处理对等依赖错误、漏洞告警、弃用提示问题

1. 对等依赖（peerDependencies）校验问题 #

npm >=7 严格校验对等依赖的核心实际收益是提前暴露版本不兼容风险：npm 6 版本下会直接忽略对等依赖版本冲突，你可能要到代码运行时才会发现某组件和核心依赖版本不匹配，现在安装阶段就抛出错误，避免把问题留到线上。
不用完全等待上游包维护者更新版本，有两个常用处理方案：

• 项目根目录新建.npmrc文件，添加配置legacy-peer-deps=true，不用每次执行npm install都手动加参数
• 在package.json中新增overrides字段，强制指定兼容的对等依赖版本，比如你确定项目使用react@17，直接配置"overrides": {"react": "^17.0.0"}即可覆盖所有子依赖的react版本要求

2. 漏洞告警处理 #

首先不要直接全量信任npm audit的告警，先区分漏洞所属依赖类型：

• 如果是devDependencies下的依赖漏洞，这类依赖只会在本地开发、打包阶段使用，不会被打包到生产环境代码中，只要不影响本地开发流程可以直接忽略
• 如果是生产依赖的漏洞，npm audit fix无法自动修复的话，同样可以用overrides字段强制把有漏洞的子依赖升级到修复版本，比如所有子依赖的lodash存在漏洞，直接配置"overrides": {"lodash": "^4.17.21"}即可统一升级，不需要等上层包维护者更新
• 对确实无法修复、且评估后对业务无实际影响的漏洞，可以在.npmrc中配置忽略规则，或者在CI流水线中添加过滤逻辑，屏蔽无关告警

3. 依赖弃用提示处理 #

弃用只是代表该版本不再维护，不代表存在安全问题或者无法正常运行，常用处理方案：

• 如果不影响业务运行，直接忽略提示即可，CI流水线可以给npm install添加--loglevel warn参数，过滤掉弃用类的信息提示
• 如果介意弃用提示，可以替换为同功能的活跃维护包，或者自行fork对应依赖修改后发布到私有源使用，不需要死等上游维护者更新

关于「干净安装」和告警价值的疑问 #

小型项目依赖链短，完全可以做到无告警的干净安装；中大型项目依赖链路复杂，没有必要强求100%无告警，只要处理完影响生产安全、运行稳定的问题即可。
这类提示的核心价值是把潜在风险主动暴露给开发者，你可以结合自身业务场景筛选需要处理的问题，相比问题隐藏到线上爆发再排查，提前提示的收益远高于被忽略的成本。

内容的提问来源于stack exchange，提问作者user3142695